Kapitel 1 - ALLMÄNNA VILLKOR FÖR INLÖSEN AV KORTTRANSAKTIONER (Maj 2018)

Transkript

1 Kapitel 1 - ALLMÄNNA VILLKOR FÖR INLÖSEN AV KORTTRANSAKTIONER (Maj 2018) 1. Bakgrund och definitioner 1.1 Bambora AB ( Bambora ) är ett företag vars huvudsakliga verksamhet är inlösen av korttransaktioner. Bambora är ett betalningsinstitut som har tillstånd att erbjuda betaltjänster och som står under Finansinspektionens tillsyn. 1.2 Genom Avtalet kan Bambora lösa in Transaktioner som är gjorda med Kort hos Säljföretaget. 1.3 Vid en eventuell konflikt mellan dessa allmänna villkor och en Instruktion ska Instruktionen ha företräde. 1.4 Definitionerna nedan ska gälla såväl 1) singularis som pluralis, och 2) bestämd som obestämd form av respektive definition. Definitioner finns även på andra ställen i Avtalet. Avtalet Bankdag DCC - Dynamisk Valutakonvertering Finansiell exponering Fleranvändarfunktion eller Multiuser Försäljningssätt Instruktioner betyder Säljföretagets ansökan om inlösen av korttransaktioner, Bambora skriftliga beviljande av ansökan, dessa vid var tid gällande allmänna villkor som i fall av ändringar kommunicerats i enlighet med avsnitt 9 och 10.5 samt vid var tid gällande Instruktioner, bilagor etc. som uttryckligen angetts höra till dessa allmänna villkor. betyder veckodag då bankerna i allmänhet är öppna (dvs. inte lördagar och helgdagar). betyder en tilläggsfunktion där Kortinnehavaren erbjuds att genomföra betalningen i Kortets faktureringsvaluta. betyder risken för Chargeback för betalda men inte levererade varor eller tjänster. betyder en tilläggsfunktion där upp till tio (10) användare kan dela på samma Terminal (såsom definieras nedan) betyder den eller de försäljningsmetoder som Säljföretaget använder för att sälja sina varor och/eller tjänster. Exempel på Försäljningssätt är försäljning i butik, försäljning över Internet och försäljning i obemannade miljöer. För respektive Försäljningssätt finns Instruktioner som kompletterar dessa allmänna villkor. betyder av Bambora skriftligen och/eller muntligen meddelade föreskrifter, anvisningar, rutinbeskrivningar o.d.

2 Kontaktlös betalning (Contactless) Kort Kortinformation Kortinnehavare Kortnätverk Nätverksregler Säljföretag Terminal Transaktion betyder kortbetalningar där kortet endast nuddas vid kortläsaren för att en Transaktion ska uppstå. betyder ett av en licensierad kortutgivare korrekt utfärdat Kort eller annat betalinstrument med ett varumärke och av en korttyp som Parterna skriftligen kommit överens om ska omfattas av Avtalet. Överenskomna Kortnätverk och korttyper som avtalet ska omfatta framgår av ansökan. betyder den information präglad eller tryckt på eller under Kortet och/eller information lagrad i Kortets magnetremsa, chip eller motsvarande teknologi. betyder en fysisk person i vars namn ett Kontokort har utfärdats. betyder de kortnätverk som överenskommits och angivits i ansökan om Betaltjänster. betyder de föreskrifter, regler, villkor etc. som utfärdas av MasterCard och/eller Visa. betyder det företag som beviljats anslutning till Bamboras system för inlösen av Transaktioner enligt Avtalet. betyder teknisk utrustning som fångar information som finns lagrad på Kortet, oavsett om informationen finns i magnetremsa eller chip, för att skapa en Transaktion betyder såväl 1) köptransaktioner med Kort som betalningsmedel, som 2) returer/krediteringar av korresponderande köptransaktioner. 2. Partsförhållanden m.m. 2.1 Parter till Avtalet är Bambora och Säljföretaget. Bambora och Säljföretaget kallas i Avtalet gemensamt för Parterna. 2.2 Nätverksreglerna gäller före bestämmelserna i Avtalet. Parterna godkänner därför att samarbetet enligt Avtalet alltid ska bedrivas i överensstämmelse med Nätverksreglerna. 2.3 Om det skulle konstateras att samarbetet inte sköts i enlighet med Nätverksreglerna ska Bambora informera Säljföretaget om detta direkt, varvid Parterna omedelbart ska försöka komma överens om omständighetens påverkan på Parternas samarbete. Om Parterna under diskussionerna inte kan komma överens inom tio (10) Bankdagar beräknat från den dag diskussionerna inleddes, har vardera Part rätt att säga upp Avtalet med trettio (30) kalenderdagars varsel. 2.4 Om något Kortnätverk påtalar att samarbetet inte bedrivs i överensstämmelse med Nätverksreglerna och därför begär att felen ska åtgärdas inom viss tid gäller dock följande; Varje Part har alltid (dvs. oavsett vad Avtalet i övrigt stadgar om uppsägningstider), rätt att säga upp Avtalet till upphörande till dagen innan den dag

3 felet enligt Kortnätverkan skulle vara rättat om Parten på goda grunder antar att felet inte kan eller kommer att åtgärdas inom den tid som Visa och/eller MasterCard har angivit. 3. Omfattning m.m. 3.1 Detta Avtal handlar om Parternas mellanhavanden för inlösen av Transaktioner, och rutiner i samband därmed. Transaktioner får endast göras i de valutor som har överenskommits i Avtalet. 3.2 De avsnitt i Avtalet som gäller köptransaktioner ska även i tillämpliga delar gälla för returer och/eller krediteringar av köptransaktioner. 3.3 Bambora tilldelar Säljföretaget unika kundnummer för de Försäljningssätt som Parterna har överenskommit ska omfattas av Avtalet. Dessa kundnummer, som alltid ska användas vid Säljföretagets redovisning av Transaktioner till Bambora, får inte användas för andra Försäljningssätt eller för andra varor eller tjänster inom angiven bransch. 3.4 Försäljning av värdeenheter får endast ske efter skriftligt godkännande från Bambora. Med försäljning av värdeenheter avses för närvarande i Avtalet 1) köp av virtuell valuta, och 2) överföringar till andra betalningslösningar, inklusive presentkort med en längre giltighetstid än trettiosex (36) månader. 4. Säljföretagets åtaganden 4.1 Säljföretaget ska; följa Avtalet och eventuella anvisningar från Bambora eller från part anlitad av Bambora, inklusive instruktioner som ges i svar från Terminal, eller annan form av auktorisationssystem, inklusive manuell auktorisation; acceptera samtliga överenskomna Kort, korttyper och belopp, för betalning av Säljföretagets alla varor och tjänster. Bambora har rätt att registrera och marknadsföra att Säljföretaget accepterar Kort som betalningsmedel; behandla och ta emot Kortinnehavares reklamerade Transaktioner så som det beskrivs i Nätverksreglerna (s.k. Chargeback ); inte uppmana till eller acceptera Kort 1) för bedrägligt syfte, 2) på annat sätt än tillåten användning av Kort, eller 3) på något sätt som Kortinnehavaren inte har godkänt; vid betalning med Kort, förutsatt att inte annat skriftligen har överenskommits inte 1) lämna ut kontanter med undantag för vad som kan vara tillåtet enligt Instruktionerna, 2) ställa ut check eller annan betalningsanvisning, eller 3) tillgodogöra sig betalning för annan fordran än betalning för Säljföretagets varor och/eller tjänster; inte använda varumärket Bambora för annat än vad som skriftligen har överenskommits mellan Parterna; följa gällande lagstiftning och myndighets föreskrift; inte skapa flera köptransaktioner med samma Kort vid ett och samma tillfälle avseende samma köp; och inte överföra Transaktioner som företagits hos annan än Säljföretaget till Bambora. 4.2 Returer/krediteringar ska gälla en tidigare gjord köptransaktion. Returens/krediteringens belopp får inte överstiga köptransaktionens belopp.

4 Returen/krediteringen ska ske med det Kort som användes för köptransaktionen. Beloppet får inte återbetalas med kontanter, om så inte skriftligen överenskommits mellan Parterna. Vid returer/krediteringar ska signaturkvittot, eller motsvarande underlag för Transaktionen, undertecknas av Säljföretaget. 4.3 Om Säljföretaget innehar ett eget Kort får sådant (om Säljföretaget drivs som enskild firma, handelsbolag, kommanditbolag eller aktiebolag som är s.k. fåmansföretag) inte användas för betalning hos Säljföretaget. Med innehav av Kort menas att Kortinnehavaren och Säljföretaget är identiska, dvs. har samma person- eller organisationsnummer, eller att Kortinnehavaren är ägare eller delägare i Säljföretaget. 4.4 I syfte dels att behålla en hög säkerhetsnivå i de globala kortbetalningssystemen, dels att stärka förtroendet för Kort som betalningsmedel är det av yttersta vikt att alla som hanterar Kortsinformation gör det på ett säkert sätt. Med Kortinformation avses sådan information som finns präglad eller tryckt på Kortets fram- och/eller baksida, inklusive information som finns lagrad i Kortets magnetspår och chip. Av denna anledning har kortindustrin enats om en gemensam standard för hantering av Kortinformation. Standarden kallas Payment Card Industry (PCI) Data Security Standard (DSS) och är framtagen av bl.a. Visa och MasterCard. 4.5 Säljföretaget åtar sig att följa standarden PCI DSS i det utförande den vid var tid finns publicerad på I Instruktionerna som utfärdas av Bambora och som finns tillgängliga på Bamboras hemsida, finns såväl ytterligare information om PCI DSS som en beskrivning över vad Säljföretaget generellt har att iaktta vad gäller hantering av Kortinformation inklusive att inte använda en hård-eller mjukvarulösning för betalning som inte godkänts i enlighet med PA DSS (Payment Application Data Security Standards).. Bambora ska regelbundet informera Säljföretaget om viktigare nyheter och förändringar i PCI DSS, på det sätt och så ofta som Bambora tycker är lämpligt. 4.6 För det fall Säljföretaget misstänker oegentligheter och eller missbruk av kortdata, är Säljföretaget skyldig att omedelbart meddela Bambora. 4.7 Säljföretaget åtar sig att inte lagra känsliga uppgifter om betalningar. I den händelse Säljföretagets verksamhet kräver att de kan hantera, dvs. lagra, bearbeta eller överföra känsliga uppgifter om betalningar, t.ex. personuppgifter, ska det ske i enligt med Riktlinjer om säkerhet vid betalningar på internet (EBA/GL/2014/12). 4.8 När Säljföretaget erbjuder varor och/eller tjänster får inte Säljföretaget tillämpa ett högre pris vid betalning med Kort än vad Säljföretaget tillämpar vid andra former av betalning och inte heller tillämpa ett högre pris eller ta ut någon extra avgift för betalning med Kort. Detta gäller däremot inte om det enligt lag eller Föreskrift är tillåtet. Om Säljföretaget tar ut en avgift eller erbjuder en reduktion av avgiften med anledning av användning av ett visst Kort ska Säljföretaget upplysa Kortinnehavaren om detta innan Transaktionen genomförs. Avgiften som tas ut av Säljföretaget ska vara skälig och i överensstämmelse med lag och Nätverksreglerna. 4.9 Om Säljföretaget vill debitera Kortinnehavaren i efterhand för kostnader som har uppstått i anknytning till en service, tjänst etc. (som t.ex. en hotellvistelse, bilhyra eller liknande), ska Säljföretaget informera om detta och få Kortinnehavarens godkännande innan debitering sker. Säljföretaget ska, om det går, genomföra Transaktionen i två (2) delar, varvid Säljföretaget omedelbart ska debitera

5 Kortinnehavaren för den del av transaktionsbeloppet som är känd vid transaktionstillfället och därefter debitera Kortinnehavaren endast den del av transaktionsbeloppet som inte är känd vid transaktionstillfället Om Säljföretaget blir medveten om en felaktigt utförd Transaktion ska Säljföretaget utan dröjsmål och senast inom fyrtiofem (45) kalenderdagar meddela Bambora om detta och begära att felet rättas. 5. Bamboras åtaganden 5.1 Bambora ska betala till anvisat konto för köptransaktioner företagna med Kort under förutsättning 1) att köptransaktionen är Bambora tillhanda inom den i Instruktionerna föreskrivna tiden, 2) att köptransaktionen uppfyller de krav som beskrivs i Avtalet, och 3) att Säljföretaget i övrigt gjort vad som Säljföretaget ska göra enligt Avtalet. 5.2 Bamboras ansvar enligt Avtalet omfattar endast Transaktioner som faktiskt har kommit Bambora tillhanda. Detta innebär bl.a. att Bambora, om Säljföretaget anlitar en tredje part för leverans av Transaktioner till Bambora, inte har något ansvar för eventuella anspråk, åtgärder eller underlåtenhet kopplade till samarbetet mellan Säljföretaget och den tredje parten. Inte heller har Bambora något ansvar för felaktigheter i Transaktioner som kommer Bambora tillhanda om felaktigheten beror på omständigheter kopplade till den tredje parten. 5.3 Bambora ska förse Säljföretaget med information om genomförda Transaktioner, d.v.s. uppgift om Transaktionernas belopp, avgifter och i tillämpliga fall växelkurser. Informationen lämnas så ofta och på det sätt som Parterna särskilt kommit överens om. 5.4 Bambora ansvarar för skada eller förlust gentemot Säljföretaget som uppkommit i annat fall än som avses i punkterna 5.1 och 5.2 ovan, endast om Bambora gjort sig skyldig till grov försummelse. Bambora ansvarar dock inte under några omständigheter för indirekt skada, följdskada eller för skada kopplad till att en kortutgivare inte medger eller genomför en Transaktion. Bamboras sammantagna ersättningsskyldighet under Avtalet ska under inga omständigheter överstiga ett belopp motsvarande två (2) prisbasbelopp enligt 2 kap. 7 socialförsäkringsbalken (2010:110). 6. Säljföretagets ansvar 6.1 Säljföretaget ansvarar mot Kortinnehavare för alla fel och avvikelser i sålda varors och tjänsters kvalitet, beskaffenhet och utförande. Sådana fel och avvikelser och/eller utebliven eller bristfällig leverans av varor och/eller tjänster till Kortinnehavare eller annan part som Kortinnehavaren kan ha anvisat, ska alltid anses vara sådant åsidosättande av Säljföretagets skyldigheter som avses nedan i punkt 6.3, fjärde underpunkten och i punkt Säljföretagets ansvar enligt punkt 6.1 gäller oavsett vad Säljföretaget kan ha avtalat med innehavaren av Kortet, köparen eller annan. Detta gäller även om Säljföretaget 1) bedriver verksamhet som agent/mellanman e.d. och därigenom säljer/förmedlar en annan parts/underleverantörs varor/tjänster, eller 2) säljer/förmedlar varor/tjänster för annan parts/underleverantörs räkning och det därigenom kan vara någon annan än Säljföretaget som ska utföra den prestation (t.ex. leverans av en vara/tjänst eller genomförandet av ett evenemang, resa eller liknande som Transaktionen avser).

6 6.3 Säljföretaget är, när Bambora ber om det, skyldigt att betala Bambora för samtliga belopp, jämte ränta och hanteringskostnader, som Bambora utgett/återbetalt till en kortutgivare, Kortinnehavare, Visa eller MasterCard eller annan, med anledning av: Säljföretagets ansvar enligt punkterna 6.1 och 6.2 ovan; en kortutgivares slutgiltiga debitering av Bambora för en reklamerad Transaktion i enlighet med Visas och/eller MasterCards Chargebackregler; att Säljföretaget, utan att iaktta normal aktsamhet, accepterat ogiltigt, förfalskat eller obehörigt använt Kort; att Säljföretaget åsidosatt sina skyldigheter enligt, eller på annat sätt agerat i strid med, Avtalet; eller lagstiftning eller myndighetsföreskrifter. 6.4 Säljföretaget är också, oavsett om Säljföretaget varit försumligt, begått avtalsbrott eller annan felaktig handling skyldigt att, om Bambora ber om det, betala ersättning för belopp (t.ex. avgifter och andra ekonomiska sanktioner) som Bambora har betalat till Visa och/eller MasterCard om det betalade beloppet är kopplat till Avtalet och till 1) reklamerade Transaktioner, eller 2) bedrägerier, ond tro eller uppsåtligt handlande. 6.5 Om Bambora, innan Bambora blir skyldigt att betala belopp enligt punkterna 6.3 eller 6.4, får varning, föreläggande eller liknande (t.ex. från Visa eller MasterCard), ska Bambora så fort som möjligt underrätta Säljföretaget om vad Säljföretaget måste göra för att, om möjligt, undvika att Bambora blir skyldigt att betala beloppet. 6.6 Om Visa och/eller MasterCard anser att Säljföretaget, i förhållande till Säljföretagets totala antal köptransaktioner, uppnått en oacceptabelt hög nivå reklamationer p.g.a. bedrägerier, obehöriga köp eller klagomål från Kortinnehavare, har Bambora rätt att säga upp Avtalet omedelbart. 7. Betalningsvillkor 7.1 Betalning av priser och avgifter ska ske på det sätt Parterna har överenskommit vilket normalt är antingen genom uttag på det konto Säljföretaget har meddelat Bambora eller genom att Bambora gör avdrag för beloppet vid utbetalning. Om nettovärdet understiger noll (0) ska Säljföretaget, på Bamboras begäran, avräkna beloppet genom att kreditera Bamboras bankkonto. Om Bambora inte kunnat få betalt för sina avgifter på något av de sätt som beskrivs ovan har Bambora rätt att fakturera Säljföretaget. 7.2 Om Bambora noterar att den Finansiella exponeringen eller kreditriskbedömning gentemot Säljföretaget har ökat, har Bambora rätt att ändra betalningsvillkoren med omedelbar verkan för att vara säker på att dessa motsvarar den högre finansiella risken eller kreditrisken. Bambora ska även ha rätt att begära ytterligare säkerhet från Säljföretaget om Bambora anser det nödvändigt. 8. Bamboras rätt att innehålla betalning och/eller fördröja utbetalningar och avräkningsrätt 8.1 Om Bambora tycker att Säljföretagets kreditrisk eller Finansiella exponering har ökat, om Säljföretaget inte efterlever Avtalet eller när Säljföretagets solvens skäligen kan ifrågasättas av Bambora, eller när uppsägning av Avtalet har skickats, har Bambora rätt att omedelbart hålla inne eller fördröja utbetalningar till Säljföretaget minst fram till reklamationstidens utgång.

7 Utbetalningar som innehållits eller fördröjts i enlighet med föregående stycke kan användas av Bambora avseende samtliga Säljföretagets förpliktelser/åtaganden gentemot Bambora enligt Avtalet. Detta ska även gälla för åtaganden som uppstår i samband med uppsägningen av Avtalet fram till den dag Bambora utbetalar de innehållna medlen. 8.2 Utöver det som sägs ovan har Bambora rätt att innehålla och/eller fördröja utbetalning till Säljföretaget om Bambora anser det troligt att en Transaktion kommer att bli föremål för en s.k. Chargeback. I en sådan situation ska Bambora ha rätt att innehålla och/eller fördröja utbetalning upp till ett belopp som motsvarar den förväntade Chargebacken. 8.3 Om Avtalet har sagts upp (oavsett anledning) eller om Säljföretaget upphör med att skicka Transaktioner till Bambora ska utbetalningarna upphöra det datum som uppsägningen har skett och utbetalningarna av medlen innehållna av Bambora ska ske i enlighet med punkt 8.1 ovan. 8.4 För att Bambora ska betala ut innehållna medel till Säljföretaget måste Säljföretaget på Bamboras begäran förse Bambora med dokumentation som visar att leverans av sålda varor och/eller tjänster ägt rum. Utbetalningarna ska ske en gång i månaden eller på annat sätt som Bambora avgör förutsatt att Säljföretaget har försett Bambora med information som Bambora bedömer som tillräcklig. Bambora har rätt att innehålla medel upp till ett belopp som motsvarar det utestående värdet för varor och/eller tjänster som ännu inte levererats av Säljföretaget. Bambora gör bedömningen baserat på den information som Säljföretaget skickat till Bambora. 8.5 Utbetalningar som har innehållits eller fördröjts i enlighet med ovanstående kan användas av Bambora avseende Säljföretagets samtliga skyldigheter och åtaganden gentemot Bambora enligt Avtalet. Detta gäller även åtaganden som uppkommer med anledning av uppsägningen av Avtalet fram till den dag Bambora utbetalar det totala beloppet av innehållna medel eller fördröjda utbetalningar. 8.6 Avräkning enligt punkterna 6.3 och 6.4 får ske genom uttag från det konto Säljföretaget anvisat (dvs. Anvisat Konto eller annat konto) eller genom avdrag från det belopp Bambora ska utbetala i samband med den utbetalningsrutin som gäller mellan Parterna. Säljföretaget är skyldigt att se till att det finns täckning på det konto som Säljföretaget uppgett. 9. Priser Bambora ska så snart det är möjligt informera Säljföretaget om anledningen till Säljföretagets ersättningsskyldighet. Om Säljföretaget inte anser sig ersättningsskyldigt ska Säljföretaget omedelbart informera Bambora om detta och beskriva varför. Denna punkt 8.6 ska gälla under hela den reklamationsfrist som vid var tid är gällande enligt Nätverksreglernas Chargeback-bestämmelser. För de tjänster som Bambora tillhandahåller enligt Avtalet ska Säljföretaget betala de priser och avgifter som Bambora vid var tid allmänt tillämpar och som finns tillgängliga i ansökan om anslutning till Bambora system för inlösen av korttransaktioner alternativt i den underrättelse som Bambora skickat till Säljföretaget om att ansökan har beviljats. Bambora har rätt att när som helst ändra sina priser och avgifter. Sådana ändringar blir giltiga tidigast trettio (30) kalenderdagar efter det att Säljföretaget informerats om

8 ändringen, om inte Kunden skriftligen säger upp Avtalet med iakttagande av trettio (30) kalenderdagars uppsägningstid. 10. Giltighetstid 10.1 Avtalet gäller från den dag Bambora beviljar en ansökan om anslutning till Bamboras system för inlösen av korttransaktioner. Bambora meddelar Säljföretaget skriftligen om att ansökan har beviljats och att Avtalet därmed har trätt i kraft. Avtalet gäller tills vidare med trettio (30) kalenderdagars uppsägningstid för båda Parter Om Part väsentligen bryter mot det som stadgas i Avtalet, har den andra Parten rätt att säga upp Avtalet med omedelbar verkan. I enlighet härmed har Bambora bl.a. rätt att säga upp Avtalet med omedelbar verkan om debitering inte kan ske enligt punkt 6 ovan, eller att betalning inte kan tas ut enligt punkt 9 ovan Bambora har vidare rätt att säga upp Avtalet till omedelbart upphörande 1) vid väsentliga ändringar i Säljföretagets ägarförhållanden, 2) om Säljföretaget eller person som har anknytning till Säljföretaget är, eller blir, registrerad i sådant register som avses i punkt 13.3 eller omständighet inträffar som ger skäl för sådan registrering, 3) om Bambora kan göra sannolikt att Säljföretaget måste anses vara delaktigt i, eller på annat sätt ha samröre med, brottslig verksamhet, 4) om antalet eller arten av reklamerade Transaktioner enligt Bamboras välgrundade uppfattning avviker från vad Bambora bedömer vara normalt, 5) om Säljföretaget lämnat felaktiga, ofullständiga eller vilseledande uppgifter, 6) om Säljföretagets verksamhet, branschtillhörighet eller karaktär enligt Bamboras välgrundade bedömning har ändrats, eller kommer att ändras, jämfört med förhållandena vid Avtalets ingående, 7) om Säljföretagets betalningsförmåga enligt Bamboras bedömning kan ifrågasättas, 8) om Säljföretaget enligt Bamboras skäliga bedömning kan förväntas hamna på obestånd; 9) om Säljföretaget väsentligt underlåter att fullgöra någon av sina skyldigheter gentemot Kortinnehavarna; 10) om Säljföretaget inte accepterar samtliga Kort som omfattas av Avtalet, 11) om Säljföretagets verksamhet eller ägarförhållanden ändras väsentligt, eller 12) om Säljföretaget, enligt Bamboras skäliga bedömning, genom sitt handlande/verksamhet kan skada eller skadar Bamboras anseende Bambora kontrollerar löpande hur de uppgifter som Säljföretaget har lämnat till Bambora stämmer med verkligheten. Sådan uppgift kan t.ex. vara tid mellan tidpunkten för betalning med Kort hos Säljföretaget och tidpunkten för leveransen/utförandet av den vara/tjänst som betalningen avser. Säljföretaget ska, i skälig omfattning, medverka för att underlätta dessa kontroller. Den avstämning som avses i förra stycket sker främst för att säkerställa att mellan Parterna gällande utbetalningsvillkor, eventuella säkerheter som ställts för att trygga Bamboras rätt till betalning etc. vid var tid 1) motsvarar de riktiga förhållandena, och 2) även i övrigt är i överensstämmelse med Bamboras riktlinjer och policys. Om den information Säljföretaget lämnat avviker från de riktiga förhållandena har Bambora rätt att vidta de åtgärder som enligt Bamboras uppfattning är nödvändiga för att kompensera avvikelsen. En sådan åtgärd kan t.ex. vara att Bambora kräver 1) att Säljföretaget lämnar en ny eller förändrad säkerhet för att trygga Bamboras rätt till betalning, eller 2) att utbetalningsvillkoren ändras. Om Säljföretaget inte accepterar de åtgärder som Bambora kräver enligt förra stycket har Bambora rätt att säga upp Avtalet till omedelbart upphörande.

9 10.5 Vid var tid gällande Allmänna villkor, Föreskrifter, Särskilda Villkor och Instruktioner finns tillgängliga på Bamboras hemsida ( Säljföretaget ansvarar för att hålla sig uppdaterad med vid var tid gällande version. Bambora har rätt att när som helst ändra dessa Allmänna villkor, Föreskrifter, och/eller Instruktioner utan att i förväg inhämta Säljföretagets godkännande. I fall av väsentliga ändringar ska Bambora omgående tillställa Säljföretaget den nya versionen av de Allmänna villkoren, Särskilda Villkoren och/eller Instruktionerna eller upplysa Säljföretaget om var de tillhandahålls. Om Säljföretaget inte meddelat Bambora att Säljföretaget inte accepterar ändringarna före den dag de träder i kraft, anses Säljföretaget ha godkänt dem Uppsägning av Avtalet ska ske skriftligen. En uppsägning som skickas via brev eller e-post ska anses ha skett skriftligen. Stadgandet i punkten 15.8 ska vara tillämpligt på en uppsägning av Avtalet Om Avtalet har sagts upp, oavsett anledning, ska Säljföretagets försäljning mot betalning med Kort med stöd av Avtalet upphöra samtidigt vilket i sin tur bl.a. innebär att Bambora inte längre har rätt att eller är skyldigt att ta emot Transaktioner från Säljföretaget Om Avtalet har sagts upp, oavsett anledning, ansvarar Parterna för Transaktioner som med stöd av Avtalet företagits dessförinnan. 11. Rapportering 11.1 Säljföretaget ska från och med att Avtalet börjar gälla, om Bambora frågar, skicka Bambora sin senaste årsredovisning på svenska eller på engelska, om inget annat har avtalats. Sådan information ska lämnas till Bambora så snart det är möjligt och senast två (2) veckor från den tidpunkt då handlingen offentliggjorts och färdigställdes. Säljföretaget ska också om Bambora frågar, så snart som möjligt och inom två (2) veckor från Bamboras fråga, skicka interimsrapporter (t.ex. halvårs- och kvartalsrapporter) och annan information som kan vara viktiga för Parternas samarbete under Avtalet Säljföretaget ska skriftligen och omedelbart meddela Bambora om ändringar avseende styrelsens sammansättning, VD, firma, ägarförhållanden, adress, telefonoch e-postadress, kontonummer, ändrad branschtillhörighet eller verksamhet och andra förhållanden som kan vara av betydelse för Avtalet Part ska omedelbart informera den andra Parten om händelser som kan antas påverka, eller komma att påverka, hela eller delar av samarbetet enligt Avtalet. Det är särskilt viktigt att samtliga planerade ändringar i Parts datasystem som i något avseende kan antas påverka samarbetet meddelas den andra Parten i omedelbar anslutning till att planeringen av ändringen påbörjas. 12. Force Majeure 12.1 Part är undantagen från påföljd för underlåtenhet att fullgöra viss förpliktelse enligt Avtalet om underlåtenheten har sin grund i omständighet som ligger utanför Partens kontroll och som Part inte kunnat förutse eller förebygga och som förhindrar eller avsevärt försvårar fullgörande i rätt tid därav ( Force Majeure ). Såsom Force Majeure ska anses bl. a. krig, krigsliknande händelser, terroristaktioner, införsel- eller utförselförbud, naturkatastrof, inskränkningar i den allmänna

10 samfärdseln, brist eller dröjsmål i energiförsörjning eller telefonförbindelse, myndighetsåtgärd eller underlåtenhet, nytillkommen eller ändrad lagstiftning, myndighets påbud eller åtgärd, konflikt på arbetsmarknaden, blockad, brand eller översvämning, omfattande förlust eller förstörelse av egendom eller olyckshändelse av större omfattning samt fel eller försening i produkter eller tjänster från underleverantör på grund av omständigheter som här angivits. Konflikter på arbetsmarknaden är att anse som Force Majeure oavsett om Bambora är föremål för eller vidtar sådan åtgärd. Om Part vill ha befrielse enligt denna punkt 12.1 ska Part om möjligt och så snart det är möjligt underrätta den andra Parten härom Om Avtalets fullgörande till väsentlig del förhindras för längre tid än femton (15) Bankdagar på grund av Force Majeure har Part, utan ersättningsskyldighet, rätt att skriftligen frånträda Avtalet med trettio (30) kalenderdagars varsel. 13 Personuppgifter 13.1 Inom ramen för detta avtal kan Bambora komma att behandla personuppgifter. Sådana personuppgifter kan antingen avse (i) Säljföretagets företrädare som samlas in för KYC-ändamål, både när Säljföretaget lades in i Bamboras system initialt men även löpande under Avtalets löptid, eller (ii) Kortinnehavare i form av Kortinformation vid hantering av en betalningstransaktioner. Oavsett vilken typ av personuppgifter som ska behandlas, behandlar Bambora sådana personuppgifter som personuppgiftsansvarig och kommer därför att ansvara för att behandlingen är laglig, korrekt och öppen I den utsträckning Säljföretaget behandlar personuppgifter för egna ändamål ska Säljföretaget anses vara personuppgiftsansvarig och därigenom ansvara för lagenligheten av sin behandling av personuppgifter, vilket även omfattar om Säljföretaget delar sådan information med Bambora Vardera Part åtar sig att uppfylla sina skyldigheter enligt gällande lagstiftning om dataskydd, inklusive men inte begränsat till Dataskyddsförordningen (förordning (EU) 2016/679) vid behandling av personuppgifter. Parterna bekräftar härmed att alla personuppgifter kommer att hanteras med försiktighet och sekretess. Ingen av Parterna tar något ansvar för den andra Parten för brott mot sådan Parts skyldigheter enligt gällande lagstiftning om dataskydd. Bambora åtar sig att ingå eventuella personbiträdesavtal mellan Bambora AB och Bambora Device AB på sätt och med det innehåll som Dataskyddsförordningen föreskriver. 14. Sekretess och registrering 14.1 Innehållet i Avtalet, med undantag för sådant innehåll som finns tillgänglig på Bamboras hemsida inklusive dessa allmänna villkor, är konfidentiellt och Parterna har inte rätt att lämna ut något om Avtalets innehåll till tredje part. Inte heller har Part rätt att till annan lämna ut något om den andre Partens verksamhet som är att betrakta som konfidentiell information. Säljföretaget medger dock att Bambora i enlighet med gällande regler om tystnadsplikt i betalningsinstitut får överföra sådana uppgifter som avses i första stycket samt anonymiserad data avseende transaktioner som inte är persondata till 1) företag som ingår i samma koncern som Bambora i syfte att marknadsföra Bamboras andra tjänster och produkter, 2) Kortnätverken, 3) företag som Bambora samarbetar med för att säkerställa Avtalets uppfyllnad vad avser exempelvis

11 PCI/DSS och andra säkerhetsfrågor, samt 4) företag som Bambora samarbetar med och som har förmedlat Säljföretaget till Bambora. Säljföretaget samtycker till att Bambora får lämna ut uppgifter såsom företagsnamn, organisationsnummer, kontaktuppgifter, kundnummer samt MCC-kod till terminalleverantörer, payment service provider (PSP) och andra leverantörer av betaltjänster som är nödvändiga för att ansluta den ansökta tjänsten. Första stycket ska inte hindra Bambora från att lämna ut sådana uppgifter som Bambora enligt lagstiftning, myndighetsföreskrifter eller reglering, eller föreläggande från en behörig myndighet eller domstol, är skyldigt att lämna ut. Säljföretaget medger också att Bambora kan lämna ut uppgifter till företag i samma koncern som Bambora i syfte att marknadsföra produkter och tjänster från andra företag i Bamboras koncern Registrering i Särskilda Register kan komma att ske om Avtalet sägs upp på grund av Säljföretagets avtalsbrott eller på grund av att Säljföretaget lämnat felaktiga, ofullständiga eller vilseledande uppgifter vid t.ex. Avtalets ingående Sådant register som avses i punkt 14.2 förs av t.ex. Visa och/eller MasterCard från tid till annan. I Avtalet likställs med Särskilda Register även Visas och/eller MasterCards olika bevakningssystem för inlösenavtal som har sagts upp på grund av avtalsbrott eller liknande skäl. 15. Överlåtelse 16. Övrigt Part har inte rätt att överlåta någon av sina rättigheter och/eller skyldigheter enligt Avtalet till annan utan den andra Partens skriftliga medgivande vilket inte får vägras utan giltigt skäl, fördröjas eller villkoras. Bambora får dock utan medgivande från Säljföretaget överlåta sina rättigheter och/eller skyldigheter till företag som ingår i samma koncern som Bambora För den dagliga löpande samordningen enligt Avtalet ska respektive Part utse var sin kontaktperson vars namn och kontaktuppgifter ska meddelas den andra Parten Om det av Avtalet inte framgår vilken Part som ska bära en kostnad som uppkommer med anledning av samarbetet, ska Parterna i anslutning till att beslut fattas om att en sådan åtgärd ska genomföras även besluta hur åtgärden ska bekostas. Saknas sådant beslut, och kan inte heller Parterna enas om hur kostnaderna ska bäras eller fördelas, ska, om åtgärden ändå genomförs, den Part som genomför åtgärden ensamt bekosta denna Parterna ska inte, utöver vad som följer av Avtalet, ha rätt att företräda varandra, eller nyttja varandras varumärken, firmor eller know-how utan den andra Partens skriftliga medgivande. Sådan rätt till användning medför inte skapande av någon rättighet och ska upphöra samtidigt som Avtalet upphör Rubriker i Avtalet finns angivna endast för att underlätta läsandet och ska inte påverka tolkningen av Avtalet Part får, med undantag för vad som stadgas i stycket nedan, anlita underleverantör eller tredje parter utan den andra Partens medgivande. Säljföretaget ska dock snarast underrätta Bambora om ett sådant anlitande påverkar eller skulle kunna påverka samarbetet enligt Avtalet.

12 Om Säljföretaget avser att anlita en underleverantör eller tredje part som i något avseende kommer att behandla data om Kort (s.k. kortdata) måste dock denne underleverantör eller tredje part på förhand godkännas av Bambora. Vardera Part ansvarar för underleverantörs eller tredje parts samtliga åtgärder eller handlingar och underlåtenhet som om Parten självt vidtagit handlingen eller åtgärden eller underlåtit att vidta en handling eller åtgärd Vardera Part bekräftar att Avtalet (samt de dokument som hänvisas till i Avtalet) utgör Parternas fullständiga reglering av de frågor som Avtalet berör. Alla muntliga eller skriftliga åtaganden och utfästelser som föregått Avtalet ersätts av Avtalet Om inte annat stadgas särskilt häri ska alla ändringar av och tillägg till Avtalet vara skriftliga och undertecknade av Parterna för att vara bindande Alla meddelanden enligt Avtalet ska vara skriftliga och på svenska eller på engelska, om inget annat har avtalats, och överlämnade personligen eller genom en internationellt erkänd budfirma, sänt via e-post, sänt via reguljär post till den adress eller e-postadress som tidigare meddelats. Parterna är överens om att Säljföretagets eventuella klagomål kan komma att besvaras av Bambora på svenska eller engelska och lämnas i enlighet med denna bestämmelse. Ett skriftligt meddelande som har sänts till Part ska anses ha nått den andre Parten vid leverans, förutsatt att när en leverans sker efter arbetstid ska Meddelandet ha anses kommit Part tillhanda i början av ordinarie arbetstid nästföljande Bankdag. I detta hänseende avses med ordinarie arbetstid kl. 9:00 till kl Vardera Part är ansvarig för att informera sin berörda personal om innehållet i Avtalet Strider någon bestämmelse i detta Avtal mot bestämmelse i betaltjänstlagen (Lag (2010:751) om betaltjänster) gäller avtalet i de fall som lagen tillåter att banken och kontohavaren får avtala om att lagbestämmelserna inte ska gälla. Bl.a. ska betaltjänstlagens 4 kap. inte gälla för detta avtal, inte heller 5 kap. 1 första stycket, 28-30, 31 andra till tredje styckena, 35-37, 47, 48 första till tredje styckena, och 54 första stycket samt 5a kap. 2-5 och 6 första stycket. 17. Tillämplig lag och tvister 17.1 Svensk lag ska tillämpas på Avtalet Tvister angående Avtalet, dess verkställande, tolkning och/eller tillämpning eller annat rättsförhållande som har samband med Avtalet ska i första hand lösas genom förhandlingar mellan Parterna Tvist som uppstår i anledning av Avtalet, och som inte inom trettio (30) kalenderdagar kunnat lösas enligt p ovan, ska slutligt avgöras vid allmän domstol i Sverige med Stockholms tingsrätt som första instans.

13 Kapitel 2 - FÖRESKRIFTER FÖR FÖRSÄLJNING MOT BETALNING MED KONTOKORT VID FÖRSÄLJNING I BUTIK (Card Present) (Februari 2018) Dessa föreskrifter, Butiksföreskrifterna, gäller för försäljning mot betalning med Kontokort med användande av Terminal i bemannad miljö. Butiksföreskrifterna utgör ett komplement till de Allmänna villkor för inlösen av kontokortstransaktioner ( Huvuddokumentet ) som slutits mellan Säljföretaget och Bambora. Vid eventuella konflikter mellan Huvuddokumentet och Butiksföreskrifterna ska Butiksföreskrifterna ha företräde. Ord som inleds med en versal, dvs. stor bokstav, avser ett ord som givits en särskild innebörd/definition i Huvuddokumentet och ska i dessa Butiksföreskrifter ha samma innebörd som de har i Huvuddokumentet. 1. Kontroller Säljföretaget ska i samband med betalning utföra nedan angivna kontroller. 1.1 Kontokortet För de fall där 1) informationen på Kontokortet avläses utan medverkan av Säljföretaget, och 2) Kortinnehavaren kvitterar Transaktionen med PIN-kod, behöver inte i stycke 1.1 nedan angivna kontroller utföras. Samma sak gäller om informationen på Kontokortet avläses utan medverkan av Säljföretaget och typen av Kontokort inte kräver någon ytterligare åtgärd/kvittens av Transaktionen än själva avläsandet av informationen. Säljföretaget ska genom visuell kontroll säkerställa att: Kontokortet är försett med Kortinnehavarens namnteckning, Kontokortet inte bär spår av ändringar, Den på Kontokortet angivna giltighetstiden inte gått ut, När legitimationshandling uppvisas, det präglade namnet på Kontokortet är detsamma som namnet på legitimationshandlingen, och Kontokortet är försett med ett varumärke, jämför punkt 1 ( Kontokort ) i Huvuddokumentet, och är av en korttyp som omfattas av Avtalet. Vid brister i ovan angivna avseenden får Kontokortet inte accepteras som betalningsmedel. 1.2 Legitimationskontroll Legitimationskontroll ska inte utföras om Kontokortet är utfärdat av en utländsk kortutgivare eller då Kortinnehavaren identifierar sig med PIN-kod. Om köpesumman överstiger SEK tvåhundra (200), och Kontokortet är utgivet av en svensk kortutgivare, ska Kortinnehavaren legitimera sig med en handling som accepteras av svensk post eller bank. Uppgift om legitimationshandlingens typ och nummer ska anges på signaturkvittot. Om legitimationshandling saknas får Kontokortet inte accepteras som betalningsmedel. 1.3 Namnteckning Säljföretaget behöver inte kontrollera namnteckning då Kortinnehavaren kvitterar transaktionen med PIN-kod (se punkt 3 nedan). Säljföretaget ska jämföra Kortinnehavarens underskrift av signaturkvittot med namnteckningen på Kontokortet och legitimationshandlingen. Vid bristande överensstämmelse i detta avseende får Kontokortet inte accepteras som betalningsmedel.

14 1.4 Auktorisation och spärrkontroll Auktorisation ska alltid ske vid betalningstillfället, oavsett köpbelopp. Om auktorisation och spärrkontroll inte sker elektroniskt i Terminal ska Säljföretaget genom telefonsamtal till Bambora inhämta medgivande att köptransaktionen får genomföras. Godkännande ges av Bambora med angivande av ett kontrollnummer vilket ska noteras på signaturkvittot. Kontokort på vilka namn och/eller nummer inte är präglat (exempelvis Kontokort med varumärkena Maestro och Electron) kräver dock att auktorisation alltid sker elektroniskt. Transaktioner får inte genomföras om varken magnetremsa eller Kontokortets chip av någon anledning inte kan avläsas. Om Säljföretaget vid auktorisation får beskedet att Kontokortet är spärrat, eller det står klart att Kontokortet brukas av obehörig, ska Säljföretaget om möjligt omhänderta kortet. Säljföretaget ska därvid klippa itu Kontokortet och skicka in det till Bambora. 1.5 Chip och Pin-terminaler Terminaler som används för att genomföra transaktioner med Kontokort ska stödja såväl magnetspårläst som EMV-chip teknologi. MasterCard och VISA kan komma att påföra Bambora en avgift för det fall att Säljföretaget bryter mot ovanstående. Säljföretaget är i detta fall enligt Huvuddokumentet skyldigt att ersätta Bambora för sådana avgifter. 1.6 Terminaler med stöd för kontaktlösa transaktioner Hos Säljföretag som tidigare inte accepterat Kontokort ska alla nyinstallerade Terminaler ha aktiverat stöd för Kontaktlösa betalningar även kallat Contactless. Detta gäller även redan verksamma Säljföretag som byter ut samtliga sina Terminaler. Från och med den 1 januari 2020 ska samtliga Terminaler ha aktiverat stöd för Kontaktlösa betalningar. Kontaktlösa betalningar till ett värde upp till motsvarande 20 EUR kan genomföras utan PIN med undantag för följande branscher: Kontantuttag över disk Värdebevis som kan likställas med kontanter (s.k. Quasi Cash) Dynamisk valutakonvertering (s.k. DCC) Kontantutbetalning i samband med betalning (s.k. Cash-back) Laddning av värdebevis 1.7 Chip No CVM Chip No CVM innebär att Kortinnehavaren inte behöver identifiera sig med signatur eller PINkod. Transaktionen får endast ske med ett belopp som uppgår till högst SEK tvåhundra (200). Chip No CVM-funktionen får brukas fram till och med den 31 december 2019 och gäller endast svenska butiker där Kontokortet som används är utfärdat i Sverige. Chip No CVM -transaktioner begränsas till: Kollektiva transportmedel, inklusive färjor (MCC 4111) Persontrafik Järnväg (MCC 4112) Busstrafik (MCC 4131) Lunchrestauranger (MCC 5812) Snabbmatsrestauranger och snabbmat- och dryckesförsäljning vid idrottsevenemang (MCC 5814) Tidningsförsäljare och kiosker (MCC 5994) Det är inte tillåtet att ta ut pengar med Chip No CVM. Terminalen som används vid Chip No CVM-transaktioner måste vara fullt kapabel att hantera Chip och Pin-transaktioner och

15 samtliga giltiga/erforderliga säkerhetsförfaranden. Vid brister i punkten 1.1 ovan angivna avseenden står Säljföretaget risken för samtliga bedrägliga transaktioner och återkrav. 2. Kvitton 2.1 Signaturkvittots innehåll Säljföretagets exemplar av signaturkvittot ska innehålla följande uppgifter: Säljföretagets namn, ort och organisationsnummer, Säljföretagets kundnummer hos Bambora, Datum och klockslag för Transaktionen, Kontokortets nummer (i trunkerad form), Transaktionstyp (betalning eller retur/kreditering) i klartext, Kontrollnummer (styrkandet av auktorisation), Valuta och belopp, Uppgift om mervärdesskatt, Texten: Godkännes för debitering av mitt konto enligt ovan (detta gäller inte vid användande av PIN-kod), Utrymme för namnteckning (detta gäller inte vid användande av PIN-kod), Legitimationsnummer och legitimationstyp (detta gäller inte vid användande av PINkod), och Referens/återsökningsnummer (unik identitet på Transaktionen). 2.2 Kortinnehavarens kopia Kortinnehavaren ska erhålla en kopia av signaturkvittot som ska innehålla samma uppgifter som Säljföretagets exemplar av signaturkvittot. Följande avvikelser gäller dock för Kortinnehavarens kopia: Kontokortets nummer ska anges i trunkerad form, Texten kortbetalning behöver inte anges (detta krävs endast om kopian av signaturkvittot utgörs av ett kompletterat kassakvitto), Texten personlig kod behöver inte anges (detta krävs endast vid användande av PINkod), Texten Godkännes för debitering av mitt konto enligt ovan behöver inte anges. Säljföretagets kundnummer hos Bambora får inte anges 2.3 Lagring Säljföretaget ska under minst arton (18) månader arkivera signaturkvitton och PIN-kodsjournal i enlighet med de gällande reglerna för PCI DSS (se punkt 6.1 nedan). På Bamboras begäran ska Säljföretaget inom fem (5) dagar kunna tillhandahålla ett kvitto avseende en enstaka Transaktion. Detta gäller även om Säljföretagets inlösenavtal med Bambora i övrigt har upphört. 3. Användning av PIN Beloppet ska vara känt för Kortinnehavaren när PIN-koden anges. Inmatningen av PIN-koden utgör Kortinnehavarens godkännande av att köptransaktionen får belasta dennes konto. I vissa miljöer kan Bambora efter särskild överenskommelse godkänna att annan rutin gäller. Kortinnehavaren ska ges tre (3) försök att ange rätt PIN-kod. Kortinnehavaren ska ha möjlighet att avbryta en Transaktion i stället för att göra ytterligare försök med PIN-kod. I manuellt betjänad miljö ska Kortinnehavaren ha rätt att avstå från att använda PIN-kod för att i stället underteckna ett signaturkvitto (under förutsättning att godkännande av köptransaktionen genom PIN-kod inte är obligatoriskt för Kontokortet i fråga).

16 I nedan angivna situationer måste undertecknande av ett signaturkvitto ske varför uppmaning till Kortinnehavare att ange PIN-kod inte får ske: Auktorisation kan inte ske elektroniskt, Användning av PIN-kod, enligt Bamboras Instruktioner, inte är tillåten för aktuellt Kontokort, Vid returer/krediteringar. 4. Transaktionsinsamling 4.1 Allmänt om insamling Insamling av köptransaktioner med Kontokort får endast ske med hjälp av Terminal. 4.2 Terminal I Terminal ska Kontokortet läsas maskinellt (det vill säga med hjälp av chip eller magnetspår). 5. Redovisning 5.1 Insändande av köptransaktioner Elektroniskt insamlade köptransaktioner ska senast inom två (2) dagar från dagen för betalningen överföras till Bambora. Som dagen för betalningen avses dagen för auktorisationen. För miljöer som t ex hotell där en s.k. pre auktorisation sker ska köptransaktionen vara Bambora tillhanda inom trettio (30) dagar. 5.2 PIN-kodsjournal Säljföretaget ska föra en särskild journal över samtliga Transaktioner där PIN-kod har använts, dvs. såväl genomförda som avbrutna Transaktioner. Denna journal ska utvisa: På vilket sätt Transaktionen har genomförts, Säljföretagets namn (firma), ort och organisationsnummer, Datum och klockslag, Kontokortets nummer (förutsatt att Terminalen så stödjer ska detta ske i trunkerad form), Betalningssätt (se punkt 1.1), Transaktionstyp (betalning eller retur/kreditering) i klartext, Kassaidentitet, Kontrollnummer såsom bevis på auktorisation, Valuta och belopp, Referens/återsökningsnummer, och Svarskod. 5.3 Kontantutbetalning i samband med betalning (s.k. Cash-back) Utbetalning av kontanter i samband med betalning med Kontokort, får endast ske med ett belopp som uppgår till högst SEK två tusen (2 000). Auktorisation och verifiering med PIN-kod (alternativt verifiering med legitimationskontroll) ska alltid företas innan utbetalning sker. Kontantutbetalning får ske endast när Kontokort har kontrollerats elektroniskt och endast i svenska kronor (SEK). Cash-back får endast ske i Sverige. 6. Säkerhet 6.1 Hantering av Kontokortsinformation I syfte dels att behålla en hög säkerhetsnivå i de globala kortbetalningssystemen, dels att stärka förtroendet för Kontokort som betalningsmedel är det av yttersta vikt att alla som hanterar Kontokortsinformation gör det på ett säkert sätt. Med Kontokortsinformation avses sådan information som finns präglad eller tryckt på Kontokortets fram- och baksida, inklusive information som finns lagrad i Kontokortets magnetspår och chip. Av denna anledning har Kortnätverken enats om en gemensam standard för hantering av Kontokortsinformation.

17 Standarden kallas Payment Card Industry (PCI) Data Security Standard (DSS) och är framtagen av de internationella kortnätverken Visa och MasterCard. Säljföretaget åtar sig att följa standarden PCI DSS i det utförande den vid var tid finns publicerad på Godkännande av system Terminal som levererar Transaktioner till Bambora ska vara godkänd av Bambora, eller annan tredje part som Bambora anvisar. Bambora kan ställa krav på särskild granskning av ur säkerhetssynpunkt känsliga komponenter. 6.3 Särskilt om Payment Service Providers Använder Säljföretaget en tredje part (s.k. Payment Service Provider) som del av sin betalningslösning för hantering av Transaktioner, måste Säljföretaget säkerställa att denne uppfyller alla krav enligt PCI DSS. 6.4 Ändring av utrustning m.m. Säljföretaget ska informera Bambora inför varje installation, omflyttning eller avveckling av utrustning som är tekniskt ansluten till Bambora eller annan insamlare av Transaktioner som verkar på uppdrag av Säljföretaget inom ramen för detta avtal. Ändringar i Terminal, som påverkar de förutsättningar som gällde vid tillfället för godkännandet, får inte vidtas utan Bamboras medgivande. Säljföretaget ska, innan transaktioner får överföras till Bambora, genomföra ett av Bambora anvisat test av sin uppkoppling mot Bambora mottagningssystem. 6.5 Dataintrång och IT-forensisk undersökning Om Säljföretaget misstänker oegentligheter eller missbruk av information är Säljföretaget skyldiga att snarast meddela Bambora och sin PSP. Om Bambora misstänker att Säljföretagets kassasystem, datasystem e.d. utsatts för intrång, manipulation e.d. som, enligt Bamboras bedömning, i något avseende berör Parternas samarbete enligt detta Avtal har Bambora rätt att genomföra en s.k. IT-forensisk undersökning av utrustningen i fråga. Undersökningen får genomföras av Bambora eller av ett av Bambora anlitat IT-forensiskt företag. Tidpunkt, och därmed sammanhängande frågor/rutiner hänförliga till undersökningens genomförande, ska, om Bambora inte bedömer detta som olämpligt, i möjligaste mån överenskommas mellan Parterna. Bambora får dock även, om detta enligt Bamboras mening är mest ändamålsenligt, besöka Säljföretaget och genomföra undersökningen utan att Säljföretaget underrättats härom i förhand. Det åligger Säljföretaget att i skälig omfattning medverka vid undersökningen och underlätta genomförandet så att syftet med undersökningen, dvs. att konstatera huruvida intrång/manipulation har skett, kan uppnås. För det fall det genom undersökningen konstateras att Säljföretagets kassasystem, datasystem e.d. blivit utsatta för intrång, manipulation e.d. är Säljföretaget skyldigt att på Bamboras begäran ersätta Bambora kostnaderna för undersökningen.